Zaloguj się
Deutsch English Español Polski
Wysoka

Gradio makes the `/file` secure against file traversal and server-side request forgery attacks

  • Ujawniono: 21.12.2023
  • Aktualizacja: 11.10.2026 15:17

Older versions of gradio contained a vulnerability in the /file route which made them susceptible to file traversal attacks in which an attacker could access arbitrary files on a machine running a Gradio app with a public URL (e.g. if the demo was created with share=True, or on Hugging Face Spaces) if they knew the path of files to look for.

This was not possible through regular URLs passed into a browser, but it was possible through the use of programmatic tools such as curl with the --pass-as-is flag.

Furthermore, the /file route in Gradio apps also contained a vulnerability that made it possible to use it for SSRF attacks.

Both of these vulnerabilities have been fixed in gradio==4.11.0

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) gradio < 4.11.0 4.11.0

Odnośniki

Ocena CVSS 8.6/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L
Słabość (CWE)
CWE-22
Platforma
Python (PyPI)
Paczka
gradio
Ujawniono
21.12.2023
Aktualizacja
11.10.2026 15:17

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2023-249 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-6qm2-wpxq-7qh2 - CC BY 4.0

Historia podatności: gradio

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (51) w archiwum
Wszystkich wpisów
51
Pierwsza → ostatnia
12.2021 07.2026
Bez poprawki
13
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 5
  • Wysoka 19
  • Średnia 22
  • Niska 5

Ujawnienia w latach

Istotność:
  1. Gradio before 6.16.0 contain a path traversal vulnerability in the FileExplorer component's preprocess() method that allows unauthenticated attackers to escape the configured root directory by supplyi
    Wysoka CVE-2026-49119 < 6.16.0 6.16.0
  2. Gradio has SSRF via Malicious `proxy_url` Injection in `gr.load()` Config Processing
    Wysoka · 8.2 CVE-2026-28416 < 6.6.0 6.6.0
  3. Gradio is Vulnerable to Absolute Path Traversal on Windows with Python 3.13+
    Wysoka · 7.5 CVE-2026-28414 < 6.7.0 6.7.0
  4. Gradio DOS in multipart boundry while uploading the file
    Wysoka · 7.5 CVE-2024-8966 <= 5.22.0 brak poprawki
  5. Gradio Vulnerable to Denial of Service (DoS) via Crafted HTTP Request
    Wysoka · 7.5 CVE-2024-10624 >= 4.38.0, <= 5.0.0-beta.2 brak poprawki
  6. Gradio Vulnerable to Arbitrary File Deletion
    Wysoka · 8.2 CVE-2024-10648 >= 4.0.0, <= 5.0.0b2 brak poprawki
  7. Gradio Vulnerable to Denial of Service (DoS) via Crafted Zip Bomb
    Wysoka · 7.5 CVE-2024-10569 >= 4.0.0, <= 5.0.0b2 brak poprawki
  8. Gradio Blocked Path ACL Bypass Vulnerability
    Krytyczna CVE-2025-23042 < 5.11.0 5.11.0
  9. Gradio uses insecure communication between the FRP client and server
    Wysoka · 8.1 CVE-2024-47871 < 5.0.0 5.0.0
  10. Gradio has a race condition in update_root_in_config may redirect user traffic
    Wysoka · 7.0 CVE-2024-47870 < 5.0.0 5.0.0
  11. Gradio lacks integrity checking on the downloaded FRP client
    Wysoka · 7.5 CVE-2024-47867 < 5.0.0 5.0.0
  12. Gradios's CORS origin validation is not performed when the request has a cookie
    Wysoka · 8.8 CVE-2024-47084 < 4.44.0 4.44.0
  13. Gradio allows users to access arbitrary files
    Wysoka · 8.1 CVE-2024-1728 < 4.19.2 4.19.2
  14. Server-Side Request Forgery in gradio
    Wysoka · 8.6 CVE-2024-4325 <= 4.36.0 brak poprawki
  15. A local file inclusion vulnerability exists in the JSON component of gradio-app/gradio version 4.25. The vulnerability arises from improper input validation in the `postprocess()` function within `gra
    Wysoka · 7.5 CVE-2024-4941 < 4.31.4 4.31.4
  16. A command injection vulnerability exists in the gradio-app/gradio repository, specifically within the 'test-functional.yml' workflow. The vulnerability arises due to improper neutralization of special
    Krytyczna · 9.1 CVE-2024-4253 < 4.29.0 4.29.0
  17. Gradio before 4.20 allows credential leakage on Windows.
    Wysoka · 7.5 CVE-2024-34510 < 4.20.0 4.20.0
  18. gradio vulnerable to Path Traversal
    Wysoka · 7.5 CVE-2024-1561 < 4.13.0 4.13.0
  19. gradio Server-Side Request Forgery vulnerability
    Wysoka · 7.3 CVE-2024-2206 < 4.18.0 4.18.0
  20. A local file include could be remotely triggered in Gradio due to a vulnerable user-supplied JSON value in an API request.
    Krytyczna · 9.4 CVE-2024-0964 źródło nie podało brak poprawki
  21. Gradio makes the `/file` secure against file traversal and server-side request forgery attacks ten wpis
    Wysoka · 8.6 CVE-2023-51449 < 4.11.0 4.11.0
  22. Gradio Exposure of Sensitive Information to an Unauthorized Actor vulnerability
    Krytyczna · 9.6 CVE-2023-6572 < 4.14.0 4.14.0
  23. `gradio` is an open source framework for building interactive machine learning models and demos. Prior to version 2.8.11, `gradio` suffers from Improper Neutralization of Formula Elements in a CSV Fil
    Wysoka · 8.8 CVE-2022-24770 < 2.8.11 2.8.11
  24. Files on the host computer can be accessed from the Gradio interface
    Krytyczna · 8.3 CVE-2021-43831 < 2.5.0 2.5.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.